Lazarus Group retorna com uma campanha de defesa e aeroespacial que combina rootkit de kernel e recrutamento social

O grupo norte-coreano conhecido como Lazarus Group voltou a demonstrar que continua a aperfeiçoar técnicas de intrusão dirigidas à indústria de defesa e aeroespacial. De acordo com a pesquisa publicada pela Check Point, os atacantes aproveitaram uma vulnerabilidade de dia zero recentemente corrigida no Windows (CVE-2026-68820) para escalar privilégios e, a partir daí, implantar uma cadeia de infecções que culmina na instalação de novos backdoors (denominados Troy e ForestTiger) e na ativação de um rootkit em modo kernel para ocultar sua presença. O vetor inicial não foi um exploit “explosivo” na Internet, mas um velho cavalo de Troya social: mensagens de recrutamento falsos ligadas à campanha conhecida como Operation Dream Job, que atrai profissionais com ofertas de trabalho simuladas em empresas reais.

O que aconteceu (fatos confirmados): Check Point atribui esta onda a Lazarus e documenta duas rotas de infecção paralelas. Na primeira, a vítima descarrega um arquivo encriptado que desencadeia uma cadeia de DLL side-loading; uma biblioteca maliciosa chamada libmupdf.dll mostra uma falsa descrição de trabalho enquanto dispara em memória um download chamado MISTPEN. Na segunda, a vítima instala um visualizador PDF troceado chamado "SecurityPDF" baixado de sites que imitam a marca de Enveil; esse visualizador detecta um marcador concreto em documentos (texto literal) e, se o encontrar, decifra e executa um payload em memória que carrega o backdoor Troy. O exploit de escalada local é CVE-2026-68820 contra AFD.sys (Ancillary Function Driver for WinSock) e foi patchado pela Microsoft nas atualizações de agosto de 2026. O esforço final do atacante é conseguir privilégios SYSTEM, deslocar seus componentes a processos de alto nível e desativar ou burlar controles de segurança no kernel através de um módulo conhecido aqui como FudModule (versão 3.1).

Como funciona tecnicamente a cadeia: O fluxo combina engenharia social, componentes de usuário (PDF/ DLL), um baixador em memória que comunica com serviços legítimos na nuvem (Microsoft Graph API e OneDrive) para recuperar módulos e exploit kernel para elevar privilégios. MISTPEN download e executa módulos de reconhecimento (perfilado do host e listagem de processos), captura de tela e prepara a execução do LPE loader que negocia chaves com ML‐KEM (algoritmo pós-quântico) para decifrar e executar FudModule. FudModule 3.1 aproveita-se do acesso a nível kernel para alterar a política de integridade de código (incluindo a manipulação de Smart App Control) através de uma chamada NtSetSystemInformation, permitindo que cargas maliciosas evadam as proteções que normalmente bloqueariam binários não verificados.

Quem é afectado e porque importa: As vítimas confirmadas são empresas de defesa e aeroespacial em França, Alemanha, Brasil e Índia; no entanto, a metodologia — relutamento falso, uso de infra-estruturas legítimas comprometidas e exploração de um LPE no Windows — é aplicável a qualquer organização com perfis técnicos ou propriedade intelectual valiosa. O controle total sobre hosts críticos permite exfiltrar propriedade intelectual, credenciais, desenhos sensíveis e estabelecer persistência para futuras campanhas de espionagem ou sabotagem.

Práticas ofensivas que complicam a detecção: Os atacantes abusaram de infraestrutura legítima comprometida: WordPress e SharePoint hackeados, servidores Roundcube vulneráveis (CVE-2025-49113) que hospedavam um site shell chamado RelayShell, e serviços cloud da Microsoft para baixar cargas úteis. Ao apoiar o C2 em domínios e plataformas “reputadas” ou em sítios genuínos já comprometidos, o tráfego malicioso é misturado com tráfego normal, reduzindo a eficácia de regras baseadas apenas em reputação ou listas negras.

O que está confirmado e o que segue em disputa: Está corroborado por Check Point que a campanha usou CVE-2026-68820 para elevar privilégios e que a entrega inicial incluiu recrutadores falsos e visualizadores PDF troceados; também foram documentados os componentes MISTPEN, Troy, ForestTiger e FudModule 3.1. A atribuição a Lazarus é a avaliação dos pesquisadores e baseia-se em indicadores de ferramenta, infraestrutura e táticas, técnicas e procedimentos (TTP); a atribuição sempre acarreta graus de incerteza e deve ser considerada com essa matiz. Específicos detalhes sobre quantos sistemas foram comprometidos no total, o alcance exato de dados exfiltrados e se houve cumplicidade interna em alguma das organizações ainda não parecem públicas.

Consequências reais e riscos adicionais: A combinação de um LPE kernel e evasão de políticas de integridade implica que as cargas maliciosas podem executar persistência de alto nível difícil de eliminar sem um reprovisionamento completo do sistema. O uso de serviços em nuvem legítimos para telemetria e descarga reduz a visibilidade de detecção em redes que permitem esse tráfego. Além disso, infectar servidores de terceiros para lançar phishing aumenta o risco de perda de reputação para fornecedores externos e complica as defesas baseadas em listas de remetentes ou DNS, porque os e-mails podem partir de infra-estruturas “confiables”.

O que você deve fazer agora — medidas concretas e imediatas: aplique os adesivos da Microsoft prioritariamente em todos os endpoints e servidores Windows: a correção para CVE-2026-68820 foi publicada no boletim de agosto de 2026 (via Microsoft Security Response Center). Verifique atualizações e hashes de fontes oficiais, não de resultados de busca ou links em mensagens não solicitadas. Desactive ou restrinja o OneDrive/Graph API para estações críticas se não for imprescindível e monitorize o uso dessas APIs desde contas com privilégios.

Verifique indicadores em seus endpoints: presença de libmupdf.dll em rotas invulgares, binários com nomes relacionados aos módulos documentados (MISTPEN, FudModule, ForestTiger, Troy), processos msiexec.exe que atuam como pais inesperados e mudanças em políticas de integridade (Smart App Control). Realize análises forenses em sistemas suspeitos, incluindo acabamento de memória e busca de módulos in-memory. Em servidores públicos (WordPress, SharePoint, Roundcube) aplique adesivos disponíveis, verifique integridade de arquivos e procure web shells como RelayShell; se detectar compromisso, revoque credenciais, faça limpeza completa e considere restaurar desde cópias de segurança limpas.

Refuerce controles preventivos: implemente Application Control (WDAC/Smart App Control) com listas brancas assinadas pela organização, active proteções de virtualização (HVCI) onde possível, restrinja contas com privilégios locais e aplique princípio de menor privilégio. Capacite funcionários sobre o modus operandi de Operation Dream Job: verificação independente de ofertas de trabalho (não responder a links), verificação de perfis de recrutadores através de canais corporativos e evitar instalar visualizadores ou software de páginas encontradas em buscadores.

Se você encontrar indícios de compromisso, isole os ativos afetados, preserve evidências, contacte a sua equipe de resposta a incidentes e os CERT ou autoridades correspondentes. Para informações técnicas e seguimento de adesivos, consulte a Microsoft em https://msrc.microsoft.com e análises de ameaças públicas como os de Check Point em https://www.checkpoint.com/research/. Manter as atualizações por dia e tentar a confiança nos canais como algo que pode ser falsificado são agora passos essenciais para reduzir o risco de intrusões deste tipo.